Reflectiz 与 Proteside：从外部按计划访问，还是在每一笔购买中核对？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Reflectiz 从外部监测支付页面：自动化浏览器按计划访问 URL，无需代码，并生成 PCI DSS 要求的清单和证据。Proteside 在页面内、在每一次会话中运行，核对二维码、账户 ID、Boleto 缴款编号或钱包地址是否与服务器发出的一致，并在确认前拦截调包。
并排对比
- 自我描述
- Web 暴露面管理平台（Security Hub、Privacy Hub、Offensive Hub）；PCI Module 负责支付页面。
- 总部
- 以色列特拉维夫，在波士顿和悉尼设有分支。官网未注明成立年份。
- 如何接入站点
- 沙箱化的自动化浏览器按可配置的计划访问客户提供的 URL，站点上不放代码。拦截通过一个从控制台激活的闲置脚本实现。
- 在支付页面上核对什么
- 第三方和第四方脚本（包括 iframe 内的）、逐脚本的审批和理由、HTTP 响应标头和支付页面内容。
- PCI DSS
- 要求 6.4.3 和 11.6.1，可按需为 QSA 导出证据。据其官网所述，是 PCI SSC 的主要参与组织（Principal Participating Organization）。
Reflectiz PCI Module
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| Reflectiz | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）3 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）2 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 厂商自述不提供此功能1 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1监测真实买家会话: Reflectiz 把自己的方式描述为远程且无代理：自动化浏览器按计划访问页面，不安装代码。官网谈的是模拟用户活动，而不是观察真实买家会话。
- 2在买家浏览器中拦截未授权脚本: 公开资料描述了 Idle Blocking Script（闲置拦截脚本）：一个保持不活动的标签，直到安全团队从控制台请求拦截，届时通过 CSP 策略排除一个域名。页面自己的总结是：远程监测负责检测，按需拦截负责响应。
- 3表单中输入的银行卡信息: 清单和告警覆盖触及支付页面的脚本，包括 iframe 内的。对复制银行卡数据的脚本作出反应，取决于计划性访问发现它，以及有人触发域名拦截；官网没有描述在买家浏览器中的自动拦截。
Reflectiz 的突出之处
页面上无需安装任何东西
Reflectiz 把 PCI Module 描述为完全远程运行。客户提供支付页面 URL，官网表示多数组织在 24 小时内即可投入运行。
规模化的脚本审批
Smart Approval 放行行为与已接受模式匹配的脚本，Bulk Approval 将一个决定应用于多个站点，内置 AI 为每个脚本起草理由，供复核人接受或编辑。
隐私与攻击性测试同一平台
在 PCI Module 之外，Privacy Hub 覆盖 GDPR、CCPA 和 HIPAA，Offensive Hub 包含由代理驱动的渗透测试。
在 PCI SSC 中有一席之地
官网表示 Reflectiz 参与 PCI SSC 技术指导小组，并参与标准本身的制定。
Proteside 核对而 Reflectiz 的资料未提及的内容
曼谷的一位商家为一笔 2,400 泰铢的订单显示 PromptPay 二维码。买家打开银行应用，扫码付款。如果她笔记本电脑上的一个浏览器扩展把那个二维码换成了指向另一个账户的二维码，凌晨 3 点访问过结账页面的自动化浏览器根本不会看到。调包只存在于她的会话中，只针对她。
Reflectiz 对自己的设计很坦率：沙箱浏览器模拟用户活动，访问按计划重复，官网表示 Reflectiz 无法访问支付或会话数据。Proteside 从另一端工作。它记录您的服务器发出的内容（二维码、UPI ID、Boleto 缴款编号、钱包地址、金额），在每一次真实会话中与买家看到和复制的内容比对，并在两者不同时拦截确认。
同一行代码保留脚本清单、监测银行卡表单，并保存要求 6.4.3 和 11.6.1 所要求的变更历史。未授权脚本在买家的浏览器中被拦截，无需任何人先打开控制台。
各自如何接入您的业务
Reflectiz
- 您提供支付页面 URL；站点上不添加代码。
- 沙箱化的自动化浏览器按可配置的计划访问页面并重复检查。
- 要拦截时，从控制台激活 Idle Blocking Script，通过 CSP 排除所选域名；一键即可撤销。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或服务商模板中的一次集成。
- 对每一位买家的每一次会话进行核对，没有计划表，也没有模拟访问。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 Reflectiz 的情况
- 内部政策禁止在支付页面上添加任何新脚本，且团队接受“检测加人工复核”的方式。
- 您运营着数十个银行卡结账页面，希望批量审批脚本，并有 AI 起草的理由可直接交给审计方。
- 隐私（GDPR、CCPA、HIPAA）和攻击性测试属于同一个 Web 安全计划。
适合选择 Proteside 的情况
- 您接受 UPI、PromptPay、PayNow、DuitNow、FPS、巴西 Pix 或 Boleto，或加密货币钱包。
- 您需要在调包发生的那次会话中拦截它，而不是等待下一次计划性访问。
- 您希望一次安装、一行代码就获得保护以及 6.4.3 和 11.6.1 的证据。
两者并用
使用 Reflectiz 从外部盘点多个站点的集团，可以保留那张地图，并在支付页面上加上 Proteside 来核对每一笔购买。Reflectiz 的浏览器会把 Proteside 脚本列为清单中的又一项，等待审批。
常见问题
Reflectiz 覆盖 Pix、Boleto 或二维码吗？
在我们 2026 年 10 月查阅的公开信息中未提及。Reflectiz 的资料描述的是脚本、iframe、HTTP 标头和支付页面内容。
Reflectiz 和 Proteside 可以一起使用吗？
可以。Reflectiz 无需代码从外部观察；Proteside 在页面内运行。Proteside 脚本会像其他脚本一样出现在 Reflectiz 的清单中，而 Proteside 从不改动合法的付款。
Reflectiz 的 Idle Blocking Script 是什么？
根据 Reflectiz 官网，它是一个在页面上保持不活动的标签，直到团队从控制台请求拦截。激活后，它会注入一条排除所选域名的 CSP 策略。在 Proteside 中，对未授权脚本的拦截是自动的，并在买家的浏览器中发生。
无代码的监测能满足要求 6.4.3 和 11.6.1 吗？
Reflectiz 描述了清单、授权、标头告警和证据导出，并表示客户的 QSA 接受了这种方式。Proteside 从真实会话中生成同样的证据，包括被拦截内容的记录。
Reflectiz 能抓到只对一位买家出现的骗局吗？
Reflectiz 官网描述的是按计划的模拟访问，并表示无法访问会话数据。在某位客户的浏览器中被扩展调包的二维码或账户 ID，发生在这些访问之外。Proteside 在每一次会话中核对它。